Ethereum-Entwickler haben den Glamsterdam Hard Fork auf dem Hoodi-Testnetz verschoben, nachdem Sicherheitsforscher gasbezogene Risiken gemeldet hatten, die sich darauf auswirken könnten, wie bestehende Smart Contracts mit fehlgeschlagenen Transaktionen umgehen.

Die Ethereum Foundation (EF) teilte mit, dass das ursprünglich für den 26. Oktober geplante Upgrade verschoben wird, damit die Entwickler untersuchen können, wie einige seiner Vorschläge mit bereits auf Ethereum bereitgestellten Smart Contracts interagieren. Smart Contracts sind nach der Bereitstellung in der Regel unveränderlich — weshalb Ethereum Forks, also netzweite Regeländerungen, auf öffentlichen Testnetzen wie Hoodi testet, bevor ein Mainnet-Aktivierungstermin festgelegt wird.

Die Entscheidung folgt einer Warnung vom 13. Oktober des Blockchain-Sicherheitsunternehmens ChainSecurity, wonach zwei in Glamsterdam enthaltene Vorschläge, EIP-8037 und EIP-8038, die Schutzmaßnahmen gegen eine Angriffsart namens Insufficient Gas Griefing schwächen könnten. EIPs — Ethereum Improvement Proposals — sind die formalen Spezifikationen, über die Änderungen der Netzwerkregeln vorgeschlagen und übernommen werden.

Die Verschiebung trübt auch Glamsterdams Mainnet-Zeitplan. Die Entwickler hatten einen Start Anfang Dezember erwogen und wollten einen Termin erst nach erfolgreichen Hoodi-Tests festlegen.

Gas-Regeländerungen könnten bestehende Schutzmaßnahmen untergraben

In ihrer Analyse erklärte ChainSecurity, dass nach den neuen Regeln Gas nach einer fehlgeschlagenen Operation an einen Contract zurückgegeben werden könnte, sodass dieser weiterlaufen kann, wo er zuvor angehalten hätte. Die Forscher sagten, die Änderungen könnten bestehende Sicherheitsprüfungen beeinträchtigen, die darauf beruhen, wie viel Gas während einer Transaktion noch verfügbar ist. Gas ist die Recheneinheit, für die Nutzer auf Ethereum zahlen — weshalb Änderungen der Abrechnungsregeln Werkzeuge und Contracts weit über die beiden Vorschläge hinaus betreffen können.

Bei Insufficient-Gas-Griefing-Angriffen stellt ein bösartiger Aufrufer absichtlich zu wenig Gas bereit, damit eine legitime Smart-Contract-Operation nicht abgeschlossen werden kann — eine Form von Griefing, einer Angriffsklasse, die darauf abzielt, ein System zuören statt direkt daraus zu stehlen. ChainSecurity warnte, dass die vorgeschlagenen Änderungen in Glamsterdam die Abwehr gegen solche Angriffe untergraben und Contracts ermöglichen könnten, fehlgeschlagene Operationen dauerhaft aufzuzeichnen. Ein betroffener Contract könnte beispielsweise den Anspruch eines Nutzers entfernen oder die Wiederholungsoption deaktivieren, sodass der Nutzer eine ansonsten gültige Operation nicht abschließen kann.

ChainSecurity stellte klar, dass Glamsterdam nicht alle gasbezogenen Sicherheitsprüfungen unzuverlässig machen würde. Einige Schutzmaßnahmen könnten weiterhin funktionieren, doch Entwickler müssten sie überprüfen, um sicherzustellen, dass sie die neuen Gas-Regeln des Upgrades berücksichtigen.

Die Ergebnisse lösten Besorgnis unter Ethereum-Mitwirkenden aus. In einem GitHub-Kommentar vom 21. Oktober bezeichnete der pseudonyme Sicherheitsforscher pcaversaccio die Risiken als „ernst“ und forderte eine Neubewertung des Hard Forks.

Am Freitag erklärte ChainSecurity in einem Beitrag auf X, es habe „13 reale Fälle“ identifiziert und koordiniere die verantwortungsvolle Offenlegung mit den betroffenen Projekten. Das Unternehmen nannte keine Details zu den Fällen oder die betroffenen Projekte, appellierte jedoch an Entwickler, ihre Contracts so schnell wie möglich zu prüfen.

Die Verschiebung folgt auf eine frühere Warnung der Ethereum Foundation, dass Glamsterdams Gas-Modell Wallets, Indexer und Gas-Schätzer beschädigen könnte, die auf festen Annahmen beruhen. Das Upgrade wurde zuvor am 6. Oktober auf dem Sepolia-Testnetz aktiviert, vor der nun verschobenen Hoodi-Bereitstellung. Ein Ersatztermin für den Hoodi-Fork wurde noch nicht genannt, und da der Mainnet-Zeitplan von einem erfolgreichen Hoodi-Durchlauf abhängt, sind die kurzfristigen Orientierungspunkte für Glamsterdam der überarbeitete Testnetz-Zeitplan und weitere Ergebnisse aus ChainSecuritys koordinierter Offenlegung.